Configurer l'authentification LDAP

​

Étape 1 : Activer LDAP au niveau de l’instance

• IS_LDAP_ON : True

​

Étape 2 : Configurer LDAP pour une entreprise

​

Informations de base

• Fournisseur : ldap
• Nom : Un nom descriptif pour l’admin (ex : Acme Corp LDAP)
• Entreprise : Sélectionnez l’entreprise à laquelle s’applique cette configuration

​

Configuration de l’URL de connexion

• Domaine personnalisé : login.votreentreprise.com
• URL de connexion : https://login.votreentreprise.com/login
• Variable d’environnement requise :

# En production (à définir dans .env ou la config de déploiement)
DOMAIN=login.votreentreprise.com

# En développement local (valeur par défaut)
DOMAIN=localhost:8000

• Nécessite une configuration DNS (voir Configuration DNS ci-dessous)

• ID Client : Un identifiant en minuscules sans espaces (ex : votreentreprise)
• URL de connexion : https://<domaine_paradigm>/login/ldap/votreentreprise
• Aucune configuration DNS requise

​

Paramètres LDAP

{
  "server_uri": "ldaps://ldap.entreprise.com:636",
  "bind_dn": "CN=ldap-service,OU=ComptesDeSvc,DC=entreprise,DC=com",
  "bind_password": "votre-mot-de-passe-securise",
  "user_search_base": "OU=Utilisateurs,DC=entreprise,DC=com",
  "user_search_filter": "(mail=%(user)s)",
  "attr_email": "mail",
  "attr_first_name": "givenName",
  "attr_last_name": "sn",
  "use_tls": true,
  "connection_timeout": 5
}

​

Étape 3 : Mettre à jour la méthode de connexion de l’entreprise

• Définissez la Méthode de connexion sur :
  • LDAP (LDAP uniquement)

​

Étape 4 : Vérifier la configuration CNAME (pour les domaines personnalisés)

1. Attendez 5 à 30 minutes pour la propagation DNS
2. Dans l’administration Django → Applications Sociales → Ouvrez l’Application Sociale
3. Consultez les diagnostics détaillés :
   • Faites défiler jusqu’à la section “Résultats du test CNAME”
   • Consultez les vérifications DNS, HTTP et middleware détaillées
4. Test en masse : Sélectionnez plusieurs applications → Actions → “Tester la configuration CNAME”

​

Configuration DNS

login.votreentreprise.com  →  CNAME  →  app.<domaine_paradigm>

​

Recommandations de sécurité

• Utilisez un compte de service dédié en lecture seule pour les requêtes LDAP. N’utilisez pas un compte administrateur.
• Utilisez toujours LDAPS (ldaps://, port 636) plutôt que LDAP non chiffré (port 389) pour protéger les identifiants en transit.
• Assurez-vous que TLS/SSL est activé ("use_tls": true).

​

Tester la configuration LDAP

​

1. Tester la détection de l’entreprise

# Test avec domaine personnalisé
curl -H "Host: login.votreentreprise.com" https://app.paradigm.com/api/v3/auth/check-company

# Test avec le fallback client_id (depuis le chemin URL)
curl https://app.paradigm.com/api/v3/auth/check-company

{
  "company": {
    "id": 123,
    "name": "Votre Entreprise"
  },
  "auth_method": "ldap",
  "custom_domain": "login.votreentreprise.com",
  "slug": "votreentreprise"
}

​

2. Tester la connexion LDAP

ldapsearch -H ldaps://ldap.entreprise.com:636 \
  -D "CN=service,DC=entreprise,DC=com" \
  -w "motdepasse" \
  -b "OU=utilisateurs,DC=entreprise,DC=com" \
  "(mail=utilisateur@entreprise.com)"

• La connexion réussit
• L’utilisateur est trouvé
• Les attributs (mail, givenName, sn) sont retournés

​

3. Tester le flux de connexion

1. Accédez à l’URL de connexion (domaine personnalisé ou slug)
2. Saisissez le nom d’utilisateur/e-mail LDAP
3. Saisissez le mot de passe LDAP
4. Vérifiez que :
   • L’utilisateur est authentifié
   • L’utilisateur est auto-provisionné (s’il est nouveau)
   • L’utilisateur arrive sur l’interface de chat ou l’acceptation de politique

​

4. Vérifier les journaux d’audit

• Filtrez par utilisateur
• Recherchez :
  • “Utilisateur connecté” avec method=“ldap”
  • “Utilisateur créé” avec method=“ldap_auto_provision” (pour les nouveaux utilisateurs)